文章总结： 朝鲜APT组织Kimsuky升级了其王牌窃密工具KimJongRAT，通过Facebook伪装成官方人员发送恶意.msc文件，利用OneDrive链接诱骗目标点击，实现加密货币钱包和敏感文件的窃取。新版本采用冷门文件格式、分层伪装和精准目标攻击三大策略，能绕过60款杀毒软件检测。防范建议包括：核实陌生官方好友身份、警惕.msc和.hta文件、使用硬件钱包存储加密货币私钥，并部署能监控注册表修改和PowerShell异常执行的安全工具。
综合评分： 85
文章分类： APT攻击,恶意软件,网络安全,社会工程学,威胁情报
朝鲜APT Kimsuky又开挂！KimJongRAT 毒器大升级，Facebook 加好友就偷你钱包
原创
紫队
AI紫队安全研究
2025年12月7日 12:00
广东
大家好，我是紫队安全研究。建议大家把公众号“紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。
“我是韩国人权委员会的，想和您聊聊政策研究 —— 这是我的资料。” 当 Facebook 上弹出这样的好友请求，搭配着看似官方的背景照片，不少学者和外交官都放下了戒心。但他们不知道，点下对方发来的 OneDrive 链接瞬间，就掉进了朝鲜黑客 Kimsuky 的新陷阱 —— 他们的王牌窃密工具 KimJongRAT 已经升级到 “隐身模式”，不仅能偷加密货币，连政府机密文件都能悄无声息拷贝走！
作为追了 Kimsuky 八年的安全博主，必须扒透这伙人的新套路：他们的攻击手法比谍战剧还精，但只要记住三个细节，就能轻松避坑。
先认门：这伙 “间谍专业户” 的马甲比衣柜还多
在聊升级后的 KimJongRAT 前，得先认清背后的黑手 ——Kimsuky。这可不是普通黑客团伙，而是朝鲜军方直接操控的 APT 组织，外号 “神秘宝贝”“眼镜蛇毒液”，光公开的马甲就有五个之多。
他们的主业就一个：精准偷情报、重点偷钱。早年专盯着韩国政府、智囊团下手，现在胃口大了，美国、俄罗斯、欧洲的外交官、学者全成了目标，连日本安全部门都被他们盯上了。最阴的是，他们特别擅长 “角色扮演”：
冒充韩国公职人员加 Facebook 好友，聊人权议题拉近距离；
伪装成国防专家发 “研究论文”，引诱目标下载文件；
甚至伪造招聘信息，用 “面试题” 钓区块链开发者的钱包密钥。
而 KimJongRAT 就是他们藏在袖口里的 “窃听器”，从 2013 年用到现在，越改越隐蔽，最新版连 60 款杀毒软件都查不出来！
拆招 KimJongRAT 2.0：从 “加好友” 到被窃密，只需 5 步
Palo Alto Networks 的研究员刚还原了 Kimsuky 的新攻击链，看完惊出一身冷汗 —— 这伙人把 “伪装术” 玩到了极致，每一步都踩着受害者的心理弱点：
Step 1：用 “官方身份” 递诱饵，文件藏在 OneDrive 里
黑客先在 Facebook 建个假账号，头像盗自公开的政府人员照片，背景图用公共组织场景，伪装成 “人权领域官员” 或 “国防政策专家”。和你聊熟后，会发来一个 OneDrive 链接：“这是我们内部的政策分析，您帮着看看？”
链接里的文件名字特别唬人，比如 “NZZ_Interview_Kohei Yamamoto.msc”，又带知名媒体前缀，又有日本安全专家名字，谁能想到是毒文件？更阴的是，.msc 后缀是 “微软管理控制台文档”，普通人根本不知道这是可执行程序，还以为是普通报告。
Step 2：双击文件瞬间，诱饵和毒弹同时引爆
你双击文件后，屏幕上会弹出一个真实的文档 —— 可能是关于日韩峰会的采访稿，也可能是政策建议书，让你以为只是打开了普通资料。但后台已经悄悄启动了恶意程序：
恶意文件会自动把一个 HTA 文件（网页应用）丢进 Windows 临时文件夹；
同时释放一个伪装成 “性犯罪者通知” 的 PDF 当烟雾弹，彻底转移你的注意力。
等你看完文档，毒已经种好了。
Step 3：PowerShell 藏 “暗线”，偷钱包比翻包还快
新版本 KimJongRAT 分了两个 “流派”，但偷东西的本事一样狠：
PowerShell 版：会解压一个名为 pipe.zip 的压缩包，里面的脚本能解码出窃密程序，专门盯着 MetaMask、Trust Wallet 这些加密货币钱包下手，连私钥都能直接扒走；
PE 文件版：更狠，释放一个 sys.dll 加载器，不光偷钱包，还能盗走 FTP 账号、邮件密码，甚至监控你的键盘输入。
最绝的是，这些程序会偷偷改注册表，实现开机自启，就算你重启电脑，它还在后台盯着。
Step 4：借 CDN “隐身”，杀毒软件根本找不到
Kimsuky 把恶意流量藏在了正规 CDN 里，比如 cdn.glitch.global 这种开发者常用的平台。数据传输时先用 XOR 加密，再套一层 RC4 密码，就像给毒包裹穿了件 “快递服”，防火墙看了都以为是正常的代码传输。
更阴的是，KimJongRAT 还会做 “反虚拟机检查”—— 如果发现自己在安全研究员的沙箱里，就直接休眠不干活，等换到真实电脑上再启动，简直是 “成精了”。
Step 5：数据打包 “飞” 走，受害者还蒙在鼓里
最后一步，窃密程序会把偷到的钱包信息、浏览器密码、系统数据打包，通过 HTTP 请求发给黑客的 C2 服务器。服务器地址还经常换，用 “d.php?na=battmp” 这样的伪装路径，就算被发现，也能快速跑路换新地址。
等你发现钱包空了、机密泄露了，黑客早拿着数据销声匿迹了。
为啥新版本更难防？Kimsuky 的三大 “进化杀招”
对比旧版，2025 年的 KimJongRAT 简直是 “脱胎换骨”，这三个新本事让它成了漏网之鱼：
- 用 “冷门文件” 当敲门砖
以前还用常见的 Word 宏病毒，现在改用.msc、.hta 这种普通人不认识的文件格式。60 款杀毒软件初期都没识别出.msc 恶意文件，相当于带着 “隐身符” 进了你的电脑。
- 攻击链 “分层伪装”，一步一骗
不再是 “一个文件藏毒到底”，而是分 “假身份→诱饵文档→临时文件→窃密程序” 多个阶段，每个环节都像正常操作，安全软件很难把这些碎片串起来识别成攻击行为。
- 盯着 “高价值猎物” 精准打
以前还广撒网，现在专挑两类人下手：
政府、外交、人权领域的从业者，偷政治军事情报；
区块链、加密货币开发者，直接偷钱包资产。
目标越精准，得手后收益越高，这生意经玩得比资本家还溜。
保命指南：3 招识破 Kimsuky 的伪装，比装杀毒软件管用
别慌，这伙人再狡猾，也有致命破绽。记住这三点，能避开 99% 的陷阱：
- 陌生 “官方好友” 加不得，文件链接碰不得
收到 Facebook、LinkedIn 上的公职人员好友请求，先查 “三重验证”：搜名字看有没有官方履历、查机构官网有没有这个人、打电话到对应单位核实 ——Kimsuky 的假账号最怕 “线下验证”；
不管对方说得多专业，只要发 OneDrive、GitHub 的文件链接，尤其是.msc、.hta 后缀的，直接拉黑！正规机构只会通过加密邮件发资料，不会用社交平台传文件。
- 遇到这两种文件，直接删！别犹豫
后缀是.msc 的 “控制台文档”：这不是普通文档，双击就会运行程序，看到就删；
名字里带 “性犯罪者通知”“VPN 账单”“面试题” 的压缩包 / 快捷方式：这些都是 Kimsuky 的经典诱饵，就算是同事发的，也要当面确认后再打开。
- 给钱包和密钥 “上双锁”，别放一台电脑里
加密货币私钥用硬件钱包存，别存在浏览器插件里；
工作机密文件单独存在离线硬盘，和日常办公电脑分开；
装个能监控 “注册表修改”“PowerShell 异常执行” 的安全工具，KimJongRAT 改注册表时能立马报警。
最后说句大实话：黑客比你更懂 “人性弱点”
Kimsuky 的升级其实给所有人提了个醒：现在的网络攻击，拼的不是技术多牛，而是对人性的拿捏多准 —— 他们知道学者爱研究、开发者想求职、官员重人脉，所以每个陷阱都踩在你的需求点上。
但反过来说，只要你多一分 “较真”：加好友先核实身份，下文件先查后缀，运行程序先想后果，就能让黑客的 “精密计划” 变成 “无用功”。
加入知识星球，可获取权益
一、”全球高级持续威胁：网络世界的隐形战争”，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：AI紫队安全研究 紫队《朝鲜APT Kimsuky又开挂！KimJongRAT 毒器大升级，Facebook 加好友就偷你钱包》